Energie und kritische Infrastruktur

Für Versorger ist Anhang III Nr. 2 der Kern: KI-Systeme, die bestimmungsgemäß als Sicherheitsbauteile im Rahmen der Verwaltung und des Betriebs kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder Stromversorgung verwendet werden sollen, sind hochriskant. Hinzu kommen Cybersicherheits- und Resilienzpflichten aus der NIS2-Umsetzung und dem KRITIS-Dachgesetz.

Wann ist KI im Netzbetrieb hochriskant?

Entscheidend ist der Begriff des Sicherheitsbauteils: Das System muss eine Sicherheitsfunktion erfüllen, oder sein Ausfall muss Gesundheit und Sicherheit von Personen oder Eigentum gefährden können (Art. 3 Nr. 14). Eine KI, die Schutzeinrichtungen steuert oder sicherheitskritische Grenzwerte wie Frequenz, Spannung oder Druck überwacht, kann darunter fallen. Erwägungsgrund 55 nennt als Beispiele Systeme zur Überwachung des Wasserdrucks und Feuermelde-Kontrollsysteme in Rechenzentren. Eine KI, die nur die Betriebsführung optimiert, ist gesondert zu begründen; eine KI, die Wartungsberichte zusammenfasst oder Verbrauchsprognosen für den Vertrieb erstellt, ist es in der Regel nicht. Die Kommission konkretisiert die Abgrenzung in ihren Leitlinien zur Einstufung; der Entwurf liegt seit Mai 2026 vor.

Komponenten, die ausschließlich für Zwecke der Cybersicherheit verwendet werden sollen, gelten nach Erwägungsgrund 55 nicht als Sicherheitsbauteile. Prüfen Sie die Funktion im Einzelfall und halten Sie die Begründung fest.

Was neben der KI-Verordnung gilt

• NIS2-Umsetzung: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist seit 6. Dezember 2025 in Kraft. Die gesetzliche Registrierungsfrist beim BSI (§ 33 BSIG) endete am 6. März 2026; wer später erstmals betroffen ist, muss sich binnen drei Monaten registrieren. Risikomanagementmaßnahmen und Meldepflichten erfassen auch KI-Komponenten in Netz- und Informationssystemen. Für Betreiber von Energieversorgungsnetzen und Energieanlagen gelten statt §§ 30 bis 32 BSIG die Regeln der §§ 5c bis 5e EnWG (§ 28 Abs. 5 BSIG), insbesondere der IT-Sicherheitskatalog der Bundesnetzagentur nach § 5c Abs. 2 EnWG.
• KRITIS-Dachgesetz: seit März 2026 in Kraft; regelt die physische Resilienz von Betreibern kritischer Anlagen mit Registrierung, Risikoanalyse (§ 12) und Resilienzmaßnahmen (§ 13). Wo KI Ausfallszenarien beeinflusst, gehört sie in die Risikoanalyse.
• Produktrecht: KI in Funkanlagen kann über Anhang I Abschnitt A hochriskant sein, mit Geltung ab 2. August 2028. Maschinen hat die VO (EU) 2026/1744 in Anhang I Abschnitt B verschoben; die Anforderungen werden über delegierte Rechtsakte zur Maschinenverordnung eingeführt.

Zuständigkeit

Marktüberwachung nach der KI-Verordnung: Bundesnetzagentur als zentrale Behörde (KI-MIG). Cybersicherheit: für Betreiber von Energieversorgungsnetzen, Energieanlagen und digitalen Energiediensten die Bundesnetzagentur nach §§ 5c bis 5e EnWG im Einvernehmen mit dem BSI; die Registrierung erfolgt beim BSI. Resilienz nach KRITIS-Dachgesetz: für Strom-, Erdgas- und Wasserstoffversorgung die Bundesnetzagentur als zuständige Behörde (§ 3 KRITIS-Dachgesetz); das BBK ist zentrale Anlaufstelle und nimmt Registrierung und Vorfallmeldungen entgegen. Ein abgestimmter Vorfallprozess, der alle Meldewege kennt, spart im Ernstfall Zeit.

Umsetzung

1. Netz- und Anlagensysteme getrennt erfassen

   KI im Leitsystem, in der Netzführung und in Schutzeinrichtungen getrennt von KI in Vertrieb, Abrechnung und Verwaltung.

2. Sicherheitsbauteil prüfen

   Je System: Erfüllt es eine Sicherheitsfunktion? Was passiert bei Ausfall oder Fehlfunktion? Begründung festhalten.

3. Hersteller in die Pflicht nehmen

   Für Hochrisiko-Komponenten Konformitätsnachweise, Gebrauchsanweisung und Angaben zu Robustheit und Cybersicherheit anfordern (Art. 13, 15).

4. Betreiberpflichten und Rückfallebene

   Menschliche Aufsicht, Überwachung, Protokolle (Art. 26) und ein erprobter manueller Betrieb, falls die KI ausfällt.

5. Meldewege abstimmen

   Schwerwiegender Vorfall nach Art. 73 KI-VO, Sicherheitsvorfall nach NIS2-Umsetzung bzw. EnWG, Vorfall nach § 18 KRITIS-Dachgesetz (Erstmeldung spätestens 24 Stunden nach Kenntnis, ausführlicher Bericht nach einem Monat): Wer meldet was an wen, in welcher Frist?